Flyweight: Používání AI chatbota pro Shopify v souladu s GDPR a aktem o AI

Smlouva o zpracování osobních údajů, povinnost označení, zásady ochrany osobních údajů, GDPR, akt o AI - cože? 🤯🤯

Kontrolní seznam a vzor zásad ochrany osobních údajů níže vycházejí z předpokladu, že provozujete obchod na Shopify a chcete přidat AI chatbota v souladu s GDPR. Protože Flyweight nyní také navrhuje odpovědi na e-maily a tickety podpory (Flyweight Copilot) a umožňuje vám nebo vašemu týmu převzít živé chaty, tento průvodce pokrývá i tyto případy použití. Chcete úplný přehled o tom, co náš chatbot pro Shopify umí? Přejděte na hlavního průvodce. Tento článek nepředstavuje právní poradenství ani uznání právní povinnosti.

Terminologie

1. Obecné nařízení o ochraně osobních údajů (GDPR)
   GDPR je základní právní předpis o ochraně soukromí v Evropě. Stanoví pravidla pro to, jak společnosti nakládají s osobními údaji, například že mají shromažďovat pouze to, co je skutečně potřeba, a bezpečně to uchovávat. Lidem také dává práva k jejich údajům, včetně přístupu, opravy a výmazu. U chatbotů to znamená žádné plošné nebo zbytečné shromažďování údajů a jasnou komunikaci o tom, jak jsou údaje používány.

2. Akt o umělé inteligenci (AI Act)
   Akt o AI je nařízení EU, které stanoví pravidla pro umělou inteligenci. Jeho požadavky se použijí postupně, povinnosti transparentnosti podle článku 50 se použijí od 2. srpna 2026. Cílem je bezpečnější a spravedlivější používání systémů AI, jako jsou chatboti. Rozděluje systémy AI podle úrovně rizika, od nízké po vysokou. Každá kategorie má své vlastní požadavky, například aby bylo jasné, že uživatelé komunikují s AI, a aby se předcházelo diskriminačním výsledkům. Chatboti zpracovávající citlivé případy použití mohou spadat do kategorií s vyšším rizikem a čelit přísnějším požadavkům.

3. Smlouva o zpracování osobních údajů (DPA)
   Smlouva o zpracování osobních údajů je smlouva mezi společností používající chatbota a poskytovatelem, který jej provozuje. Vymezuje, že poskytovatel zpracovává údaje uživatelů pouze podle pokynů společnosti a v souladu s pravidly ochrany osobních údajů. Pokud používáte externího poskytovatele chatbota, DPA je obvykle potřeba k doložení zpracování v souladu s GDPR.

4. Zásady ochrany osobních údajů
   Zásady ochrany osobních údajů vysvětlují, jaké údaje se shromažďují, proč se shromažďují a jak dlouho se uchovávají. Měly by také vysvětlovat práva uživatelů, například právo požadovat výmaz nebo přístup k uloženým údajům. Pro použití chatbota by tyto informace měly být snadno srozumitelné a snadno dohledatelné.

5. Povinnost označení
   Podle článku 50 aktu o AI musí být osoby, které přímo komunikují se systémem AI, obecně informovány o tom, že komunikují s AI, ledaže je to za daných okolností zřejmé. To je povinnost označení. Cílem je transparentnost a méně nedorozumění.

Role a odpovědnosti

Role jsou důležité, protože určují, kdo za co odpovídá.

Zpracovatel

Poskytovatel chatbota je obvykle zpracovatel. To znamená, že poskytovatel zpracovává údaje jménem provozovatele obchodu a na základě jeho pokynů. Poskytovatel zajišťuje technické nastavení a provoz chatbota, ale nerozhoduje o tom, proč jsou údaje zpracovávány. Jeho úkolem je řídit se požadavky správce a zavést technická a organizační opatření k ochraně osobních údajů. Stručně řečeno, poskytovatel chatbota je smluvně vázán zpracovávat údaje pouze podle pokynů, nikoli pro své vlastní nezávislé účely.

Správce

Toto je část, která často působí trochu neintuitivně: provozovatel obchodu je správce. Jako správce obchod rozhoduje o tom, proč a jak jsou údaje zpracovávány, například co chatbot shromažďuje a zda se používá pro podporu, generování leadů nebo něco jiného. Správce odpovídá za to, aby shromažďování a zpracování údajů splňovalo požadavky na ochranu soukromí a aby byla respektována práva uživatelů. V praxi to znamená, že provozovatel obchodu určuje, jak se chatbot používá, a odpovídá za soulad ochrany osobních údajů kolem tohoto použití. Zní to větší, než to je. Obvykle to začíná tím, že je vše jasně uvedeno v zásadách ochrany osobních údajů.

Praktický příklad

Řekněme, že obchod na Shopify „GarlicPress24“ chce používat AI chatbota pro generování leadů. Zákazník se zeptá na specifikace lisu na česnek a AI poskytne odborné poradenství. Během tohoto procesu chatbot shromáždí kontaktní údaje zákazníka, jako je jméno a e-mail, a předá je odborníkovi.

Obchod musí rozhodnout, jak to má fungovat. Má být lead shromažďován prostřednictvím AI? Nebo má chatbot jednoduše zobrazit zprávu typu: „Kontaktujte naše odborníky na e-mailu X“? Obchod na Shopify je správce, protože rozhoduje o tom, co se stane, a zajišťuje, aby byli zákazníci řádně informováni v zásadách ochrany osobních údajů. Poskytovatel AI chatbota zajišťuje technické nastavení a zpracovává údaje podle pokynů obchodu, což z poskytovatele činí zpracovatele.

Jak používat AI chatbota v souladu s požadavky na ochranu osobních údajů: kontrolní seznam

Pokud chcete provozovat chatbota v souladu s GDPR a aktem o AI, výše uvedené role určují odpovědnosti.

1. Shromažďujte pouze nezbytné údaje
   Chatbot by měl shromažďovat pouze údaje, které jsou skutečně potřeba. To je hlavně odpovědnost poskytovatele. Ve Flyweight se snažíme zpracovávat pouze minimum osobních údajů, které jsou nezbytné. Například pokud se zákazník ptá na stav objednávky, zpracováváme pouze poštovní směrovací čísla a čísla objednávek, nikoli další podrobnosti o adrese nebo širší údaje o objednávce. Údaje zadané do vyhrazených formulářů chatbota jsou zpracovávány odděleně od modelu AI. Zprávy ve volném textu přesto mohou obsahovat osobní údaje a Copilot zpracovává otevřenou konverzaci podpory za účelem návrhu odpovědi.

2. Buďte transparentní
   Uživatelé by měli rozumět tomu, jaké údaje chatbot shromažďuje a k čemu se používají. Zásady ochrany osobních údajů jsou správným místem, kde to jasně vysvětlit, zejména pro provozovatele obchodů na Shopify. Protože obchod je správcem, měly by být zásady aktualizovány tak, aby byli zákazníci řádně informováni. Níže je přiložen vzor, který s tím pomůže.

3. Uzavřete smlouvu o zpracování osobních údajů (DPA)
   Pokud chatbot pochází od externího poskytovatele, měla by existovat smlouva, která pokrývá zpracování osobních údajů v souladu s GDPR. Ověřte, zda poskytovatel nabízí DPA, často jako součást standardní smlouvy.

4. Pravidelně prověřujte bezpečnost a ochranu osobních údajů
   Akt o AI také směřuje k pravidelným přezkumům rizik souvisejících s AI, aby nastavení chatbota zůstalo v průběhu času v souladu. To obvykle řeší poskytovatel chatbota. Tento průvodce průběžně aktualizujeme a sdílíme relevantní změny.

5. Chatbota jasně označte
   Uživatelé by měli vědět, že mluví s AI. Povinnosti transparentnosti podle článku 50 se použijí od 2. srpna 2026, viz pokyny Evropské komise. Náš AI chatbot obsahuje výchozí patičku s textem: „AI powered by Flyweight“ a doporučujeme ji ponechat. Pokud chcete být obzvlášť opatrní, můžete AI zmínit také v uvítací zprávě nebo v názvu chatbota.

6. E-mailová a ticketová podpora s AI (Flyweight Copilot)

   Pokud vy nebo váš tým používáte Flyweight Copilot k navrhování odpovědí na e-maily nebo tickety, platí stejné role: vy jste správce, Flyweight je váš zpracovatel podle DPA. Každý návrh zkontrolujete a odešlete vy nebo někdo z vašeho týmu, takže o požadavku zákazníka není přijímáno žádné automatizované rozhodnutí. Co musíte udělat: přidejte do svých zásad ochrany osobních údajů oddíl z níže uvedeného vzoru, zajistěte, aby přístup měli pouze vy a osoby, které pověříte, a nikdy nevyžadujte po zákaznících údaje o zdraví nebo jiné citlivé informace, které nejsou potřebné k vyřešení požadavku.

7. Převzetí živých chatů

   Když vy nebo člen vašeho týmu převezmete chat od AI, zákazník by měl vidět, že se připojila osoba. To je druhá strana povinnosti označení AI: pokud zákazníkům říkáte, když mluví s AI, řekněte jim také, když mluví s člověkem. Flyweight zobrazuje předání v chatovacím widgetu ve výchozím nastavení. Používejte křestní jména nebo týmové aliasy, co se zobrazí, určujete vy.

Potřebuji souhlas zákazníků, kteří nám píší e-mail?

Obvykle není vyžadován samostatný souhlas jen proto, abyste odpověděli na běžný e-mail podpory. V závislosti na požadavku může být zpracování nezbytné pro splnění smlouvy se zákazníkem (článek 6 odst. 1 písm. b) GDPR) nebo odůvodněné zdokumentovaným posouzením oprávněného zájmu pro zákaznickou podporu (článek 6 odst. 1 písm. f) GDPR). Obchodník musí zvolit vhodný právní základ pro skutečné zpracování, včetně asistence AI, a zajistit, aby byly používány pouze nezbytné údaje. Souhlas není náhradou za toto posouzení a podpora by neměla být podmíněna souhlasem s nesouvisejícím zpracováním.

Co potřebujete, je transparentnost: uveďte Flyweight jako zpracovatele ve svých zásadách ochrany osobních údajů (vzor níže) a pokud chcete, odkažte na ně ze svého e-mailového podpisu nebo automatické odpovědi.

Zvláštní kategorie vyžadují zvýšenou péči: údaje o zdraví a další zvláštní kategorie vyžadují použitelnou podmínku podle článku 9 odst. 2 GDPR i právní základ podle článku 6. Samotná smlouva o podpoře nebo oprávněný zájem nestačí. Nemůžete zákazníkovi zabránit, aby napsal „Potřebuji to vrátit kvůli své alergii“, ale můžete (1) zajistit, aby se vy, váš tým a vaše AI nastavení na takové údaje nikdy aktivně neptali, (2) přidat do svých zásad ochrany osobních údajů nebo automatické odpovědi krátkou poznámku s žádostí, aby zákazníci nesdíleli údaje o zdraví, pokud to není pro jejich požadavek nutné, a (3) pokud váš obchod prodává produkty související se zdravím (doplňky stravy, zdravotnické prostředky, lékárenské položky), promluvit si před zavedením AI asistované podpory se svým pověřencem pro ochranu osobních údajů o posouzení vlivu na ochranu osobních údajů. DPA společnosti Flyweight pokrývá incidentální zpracování takových údajů a vylučuje samostatné vyhodnocování nebo trénování modelu, samotná DPA však neposkytuje obchodníkovi podmínku podle článku 9. Posuďte, zda plánované zpracování pravděpodobně vytvoří vysoké riziko a proto před zavedením vyžaduje posouzení vlivu na ochranu osobních údajů.

Viz pokyny EDPB k právním základům a zvláštním kategoriím údajů.

⭐️ Vzor zásad ochrany osobních údajů

Jak jsme viděli, obchody na Shopify jednající jako správci nesou hlavní odpovědnost za to, aby jasně vysvětlily, jak jsou údaje zpracovávány.

A nejlepší místo pro to? Vaše zásady ochrany osobních údajů.

💡 Kdybychom byli provozovatelem obchodu používajícím Flyweight AI Chatbot, přidali bychom do zásad ochrany osobních údajů následující oddíl (aniž bychom uznávali právní povinnost nebo poskytovali právní poradenství):

Přizpůsobte vzor funkcím, které skutečně používáte, svým právním základům a své politice uchovávání údajů.

---

Použití chatbota s formuláři
Na našich webových stránkách vám nabízíme AI chatbota od společnosti Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Německo (https://flyweight.io/legal-notice / https://flyweight.io/privacy-statement), který odpovídá na vaše dotazy. Při používání chatbota jsou vaše dotazy kombinovány pomocí databáze vytvořené z informací o webu načtených z našich vlastních webových stránek a velkého jazykového modelu, aby vám byly poskytnuty odpovědi na váš dotaz. Chatbot je instruován, aby nepožadoval osobní údaje. Dobré vědět: Pokud se v důsledku vašich dotazů zobrazí samostatné formuláře, ve kterých pak možná budete muset na základě svého dotazu poskytnout osobní údaje, budou tam uvedené informace zpracovány odděleně a nebudou tedy odeslány AI.

Kategorie zpracovávaných údajů: Kategorie údajů vyplývají z vašich dotazů, pokud ve své otázce uvedete osobní údaje.

• Například pokud se zeptáte: „Kde je moje objednávka?“, zobrazí se formulář, do kterého můžete zadat číslo své objednávky a své PSČ.

• Pokud byste například chtěli zjistit více o produktu a získat odpovídající poradenství, zobrazí se formulář, do kterého můžete zadat příslušné informace (např. jméno, telefon, e-mail atd.).

Účel zpracování: Zpracování informací, které poskytnete, za účelem vytváření odpovědí na vaše požadavky pomocí chatbota.

• Příklad: Pokud se například zeptáte: „Kde je moje objednávka?“ a do formuláře zadáte číslo objednávky a své PSČ, tyto informace se použijí k přímému dotazu do systému obchodu (Shopify), aby bylo možné odeslat informace o doručení a informovat vás o stavu objednávky.

• Příklad: Pokud byste chtěli poradenství ohledně produktu, bude váš požadavek (s údaji, které uvedete ve formuláři, a celou historií chatu) předán provozovateli obchodu, aby vás mohl kontaktovat.

Zdroj údajů: Tyto údaje získáváme přímo od vás.

Právní základ: Údaje zpracováváme za účelem plnění smluvních nebo předsmluvních povinností v souladu s článkem 6 odst. 1 písm. b) obecného nařízení o ochraně osobních údajů (GDPR).

Uchovávání údajů: Údaje podpory uchováváme po dobu nezbytnou k vyřízení vašeho dotazu a pro případné příslušné právní nároky nebo povinnosti vedení záznamů. Zákonné doby uchovávání v délce 6 až 10 let se vztahují pouze na záznamy podléhající těmto požadavkům. Flyweight ukládá konverzace naším jménem po dobu trvání naší smlouvy a maže je do 30 dnů po jejím skončení v souladu s naší smlouvou o zpracování osobních údajů.

Místo příjemců: EU a země mimo EU.

Záruky pro předávání do třetích zemí: standardní smluvní doložky EU (SCC), rozhodnutí o odpovídající ochraně

AI asistovaná zákaznická podpora (e-mail a tickety)

Když kontaktujete naši zákaznickou podporu e-mailem nebo prostřednictvím našeho helpdesku, používáme Flyweight Copilot, nástroj poskytovaný společností Flyweight GmbH, Jungbuschstraße 28, 68159 Mannheim, Německo (legal notice / privacy statement), aby nám pomáhal se zákaznickou podporou. Nástroj čte vaši zprávu a, je-li to dostupné, související informace o objednávce z našeho systému obchodu a navrhne odpověď. Každou odpověď zkontroluje a odešle člen našeho týmu. O vašem požadavku se automaticky nerozhoduje. Neuvádějte prosím ve své zprávě údaje o zdraví ani jiné citlivé informace, pokud to není pro váš požadavek nezbytné.

Kategorie zpracovávaných údajů: Obsah vaší zprávy (předmět a text), vaše jméno a e-mailová adresa a podrobnosti o objednávce související s vaším požadavkem (například číslo objednávky, stav objednávky a historie objednávek).

Účel zpracování: Rychlejší a přesnější zodpovězení vašeho požadavku na podporu.

Zdroj údajů: Tyto údaje získáváme přímo od vás a z našeho systému obchodu.

Právní základ: Článek 6 odst. 1 písm. b) GDPR (plnění smlouvy nebo předsmluvní opatření) a článek 6 odst. 1 písm. f) GDPR (náš oprávněný zájem na poskytování efektivní zákaznické podpory). Společnost Flyweight GmbH zpracovává vaše údaje naším jménem jako zpracovatel na základě smlouvy o zpracování osobních údajů.

Uchovávání údajů: Údaje podpory uchováváme po dobu nezbytnou k vyřízení vašeho požadavku a pro případné příslušné právní nároky nebo povinnosti vedení záznamů. Zákonné doby uchovávání v délce 6 až 10 let se vztahují pouze na záznamy podléhající těmto požadavkům, nikoli automaticky na každou zprávu podpory. Flyweight ukládá konverzace naším jménem po dobu trvání naší smlouvy a maže je do 30 dnů po jejím skončení v souladu s naší smlouvou o zpracování osobních údajů.

Místo příjemců: EU a země mimo EU.

Záruky pro předávání do třetích zemí: standardní smluvní doložky EU (SCC), rozhodnutí o odpovídající ochraně.

Živý chat s naším týmem

Člen našeho týmu se může připojit ke konverzaci s chatbotem a osobně v ní pokračovat. V chatu uvidíte, když k tomu dojde. Konverzace, včetně veškerých informací, které jste v chatu poskytli, je poté dostupná našemu týmu, abychom vám mohli pomoci s vaším požadavkem.

Právní základ: Článek 6 odst. 1 písm. b) GDPR (plnění smlouvy nebo předsmluvní opatření). Společnost Flyweight GmbH poskytuje chatovací infrastrukturu jako náš zpracovatel.

Uchovávání údajů: Jak je uvedeno výše pro chatbota.

---

Nainstalujte si chatbota v souladu s ochranou soukromí pro evropské obchody na Shopify ✌️